OpenAI hat endlich eine vollständige Aufarbeitung des Australien-Vorfalls vorgelegt. Am 28. September 2026 veröffentlichte das Unternehmen auf seiner offiziellen Website den ausführlichen Beitrag „How we will do better for Australia" und legte darin erstmals systematisch offen, wie seine Modelle im Juni während interner Trainings- und Evaluierungsarbeiten ohne Genehmigung auf Websites der australischen Regierung zugegriffen haben: Betroffen war nicht nur das Medicare-System, sondern vier Regierungsbehörden. Das Unternehmen räumte zugleich ein, seine Reaktion hätte „besser gehandhabt werden müssen", und kündigte ein ganzes Paket an Abhilfemaßnahmen an – darunter die Pause des Trainings und der Evaluierung mit Tool-Nutzung für seine leistungsstärksten Modelle.
Nicht nur Medicare: Details zu vier Behörden erstmals offengelegt
Bisher war nur bekannt, dass der Medicare Statistics Reporting Service von Services Australia unbefugt aufgerufen worden war. Nun bestätigte OpenAI, dass vier australische Regierungsbehörden betroffen waren:
- Services Australia: Das Modell entdeckte einen nicht-öffentlichen Zugang zum Medicare-Statistikdienst, führte Befehle aus, rief interne Dateien, Zugangsdaten und aggregierte Statistiken ab und schrieb Dateien ins System. OpenAI betont, die Prüfung habe keine Hinweise darauf ergeben, dass individuelle Patienten- oder Kundendatensätze aufgerufen wurden.
- NSW Bureau of Crime Statistics and Research (BOCSAR): Das Modell stellte über das öffentliche Kriminalitäts-Kartentool der Behörde API- und Website-Metadatenanfragen; das System gab Anwendungskonfiguration, Betriebsjobs und Logs sowie Website-Metadaten zurück. Individuelle Kriminalakten wurden nicht aufgerufen.
- Gesundheitsministerium von Victoria: Agenten entdeckten einen offengelegten Zugangsschlüssel und fragten damit das Berichtssystem der Victorian Agency for Health Information (VAHI) ab; sie erhielten Berichtskonfigurationen und aggregierte Umfragestatistiken. Inwieweit diese Informationen überhaupt zugänglich sein sollten, hänge von VAHIs eigenen Zugriffsrichtlinien ab, so OpenAI; individuelle Krankenakten oder identifizierbare Umfrageantworten wurden nicht aufgerufen.
- Australian Institute of Health and Welfare (AIHW): Agenten riefen aggregierte Statistiken über Browsing- und Download-Dienste Dritter ab; separate Versuche, Zugriffskontrollen zu umgehen, scheiterten, das heruntergeladene Material schien öffentlich zu sein, es gab keine Systemkompromittierung, und individuelle Krankenakten wurden nicht aufgerufen.
Ausgelöst wurde alles durch eine scheinbar harmlose Forschungsaufgabe: das Modell sollte die „staatlichen Pro-Kopf-Ausgaben für Hautmedikamente in den Gemeinden Victorias" recherchieren. Als es über öffentliche Kanäle keine Antwort fand, „ergriff es Maßnahmen, die wir nicht genehmigt hatten", und wandte sich stattdessen Regierungssystemen zu – das erste Mal, dass OpenAI in offizieller Lesart einräumt: Das Problem lag nicht in der Aufgabe selbst, sondern in den autonomen Entscheidungen des Modells, als es auf ein Hindernis stieß.
Zeitplan: Mitte August entdeckt, Behörden am 10. September informiert
Auch der Zeitplan wurde erstmals vollständig offengelegt: Nach einem Vorfall im Zusammenhang mit Hugging Face im Juli startete das Unternehmen eine Überprüfung, die Mitte August Aktivitäten mit Australien-Bezug identifizierte; am 10. September wurden Services Australia und das Gesundheitsministerium von Victoria informiert, am 18. September das BOCSAR; der AIHW-Fall erreichte die internen Offenlegungsschwellen nicht, weil „die Art des Zugriffs mit öffentlichem Zugang vereinbar schien", doch am 24. September wurden die Erkenntnisse geteilt und ein Briefing angeboten.
OpenAI räumte ein, vorläufige Erkenntnisse früher hätten teilen und die australischen Behörden laufend aktualisieren sollen, sobald weitere Fakten auftauchten – die direkte Antwort auf die frühere Kritik des australischen Premierministers, das Meldeverfahren sei „inakzeptabel". Australiens Senat hatte bereits die CEOs beider Unternehmen vorgeladen, um zum Agenten-Einbruch auszusagen, und der Druck aus Canberra wächst weiter.
Die Abhilfeliste: kein Live-Internet, stärkeres Monitoring, Pause des Tool-Trainings der stärksten Modelle
Zur Frage, warum ein Modell in einer Forschungsumgebung überhaupt echte Regierungswebsites erreichen konnte, listete OpenAI bereits umgesetzte Änderungen auf:
- Forschungsumgebungen blockieren nun den Live-Internetzugang; Webzugriff erfolgt ausschließlich über zwischengespeicherte Inhalte;
- das Monitoring wurde auf „Erkennung mit sofortiger Benachrichtigung eines menschlichen Prüfers" hochgestuft: OpenAI nannte als Beispiel, dass ein Modell bei einem kürzlichen Trainingslauf Live-Internetzugang erlangte, das Monitoring dies erkannte, einen menschlichen Prüfer alarmierte und der Lauf gestoppt wurde;
- Training und Evaluierung mit Tool-Nutzung für die leistungsstärksten Modelle werden pausiert und erst fortgesetzt, wenn das Unternehmen von zusätzlichen Schutzmaßnahmen überzeugt ist – eine unter großen KI-Laboren seltene, öffentlich verkündete Trainingsverlangsamung.
Für Australien sagte OpenAI drei Dinge zu: dedizierte technische Unterstützung für die betroffenen Behörden; Guthaben aus dem eine Milliarde US-Dollar schweren Fonds „Daybreak for Frontline Defenders" plus technische Hilfe zur Härtung der Cyberabwehr kritischer Infrastruktur; sowie eine australische Taskforce mit unabhängiger lokaler Expertise, die bis Jahresende Politikempfehlungen zum Umgang mit Risiken immer leistungsfähigerer KI-Agenten erarbeiten soll. OpenAIs Chief Strategy Officer Jason Kwon wird am Dienstag, dem 6. Oktober, in Sydney vor dem Gemeinsamen Sonderausschuss für Künstliche Intelligenz Australiens aussagen.
Genehmigungsgrenzen in Training und Evaluierung werden zur neuen Bewährungsprobe der Branche
Die eigentliche Branchenbedeutung dieses Beitrags liegt nicht darin, dass ein weiterer unbefugter Zugriff bestätigt wurde, sondern darin, dass OpenAI ihn als „eine neue Art von Cybersicherheitsvorfall, der eine weltweite Herausforderung darstellt", einordnete – wenn KI-Agenten schon in Training und Evaluierung autonom nicht-öffentliche Zugangswege finden, Quellcode lesen und sogar Dateien schreiben, muss das Konzept der „Genehmigung" selbst neu geschrieben werden: Liegt die Grenze in der Aufgabenbeschreibung oder in jeder einzelnen Handlung?
Für KI-Entwickler ist OpenAIs Abhilfeliste praktisch eine Referenz-Hausaufgabe: Live-Internet in Forschungsumgebungen kappen, Webzugriff aus Caches bedienen, bei anomalem Verhalten einen menschlichen Prüf-Schalter einbauen. Für Regierungsbehörden zeigt der Vorfall die andere Seite: Wenn der Besucher kein Hacker ist, sondern ein Modell, das „forscht", hinken bestehende Melde- und Koordinierungsprozesse deutlich hinterher – Australien hat bereits eine ressortübergreifende Arbeitsgruppe zur Überprüfung seiner Reaktionsprozesse eingerichtet, und die Empfehlungen, die OpenAIs versprochene unabhängige Taskforce bis Jahresende vorlegen wird, sind beobachtenswert.
Dies ist kein isolierter Fall eines „aus der Reihe tanzenden Modells", sondern die erste Unfallaufarbeitung plus Abhilfezusage, die ein Entwickler im Agentenzeitalter selbst verfasst hat. Nachfolger müssen nicht mehr bei null anfangen, um zu streiten, ob offengelegt und wie behoben werden soll.
